Uma nova cadeia de falhas no sistema operativo webOS, usado nos televisores inteligentes da LG, permite a um atacante ligado à mesma rede local obter controlo total do aparelho. Não precisa de PIN e o dono da TV não tem de fazer nada. A técnica foi demonstrada num concurso de hacking em Seul e descrita num aviso da plataforma de divulgação responsável SSD Secure Disclosure. Segundo os relatos disponíveis, a LG já lançou uma correção. Ainda não há identificadores CVE e não foi reportada exploração ativa.
Resposta rápida: Três falhas no webOS da LG podem ser encadeadas para dar acesso root a um televisor a partir da rede local, sem PIN e sem qualquer interação do utilizador. A cadeia foi testada em dois modelos com webOS 7.5.7 e firmware 04.54.40. A LG já corrigiu o problema, mas não há qualquer solução alternativa. Atualize o firmware da TV quanto antes e, se não for possível, desligue-a da rede ou isole-a numa rede separada.
O que foi descoberto
A SSD Secure Disclosure, plataforma de aquisição de vulnerabilidades e de divulgação responsável, publicou um aviso sobre falhas que, encadeadas, dão controlo completo do televisor. Segundo a imprensa especializada, o aviso foi publicado a 12 de outubro e indica que a LG já emitiu uma correção.
A investigação nasceu num concurso. A cadeia foi demonstrada por um investigador anónimo que ficou em terceiro lugar na categoria LG webOS do TyphoonPWN 2026, realizado em Seul em maio. A competição integra a conferência TyphoonCon, que a SSD Secure Disclosure organizou a partir de 24 de maio de 2026 em Seul.
O alcance confirmado é limitado. A cadeia foi testada em dois aparelhos, o LG 32LQ636BPSA e o LG 27TQ600SW, com firmware 04.54.40. A versão exata do webOS aparece de forma diferente consoante a fonte: umas indicam a compilação 7.5.7-25, outras 7.5.7-2. Também não se sabe quantos modelos de TV são afetados.
Como funciona o ataque, passo a passo
O ataque tira partido da confiança que o próprio sistema deposita em componentes de fábrica. Tudo começa no serviço de emparelhamento usado pela aplicação móvel da marca. Esse serviço fica exposto na porta 3001 e é usado pela aplicação LG ThinQ para emparelhar o telemóvel com a TV.
- Contornar o emparelhamento: uma aplicação de demonstração que vem instalada no webOS, chamada
sync-demo, expõe um manifesto assinado digitalmente, ou seja, um documento que define as permissões da aplicação. Os investigadores reenviaram esse manifesto ao aparelho e levaram-no a saltar o emparelhamento normal e a emitir a chave de um novo perfil de cliente com as mesmas permissões elevadas. - Carregar conteúdo malicioso: a seguir, fizeram outra aplicação de confiança do webOS, a
cmp-client, abrir um site malicioso. Essa aplicação tem permissões alargadas de saída e aceita o URL fornecido sem qualquer validação relevante. No aviso, os investigadores sublinham que “There is no scheme check, host allowlist, or origin restriction”. - Executar comandos como root: a página carregada continua a ter acesso ao
PalmServiceBridge, uma interface interna para os serviços de sistema da TV. Através dela, o atacante chama o serviço de registospmlogde envia-lhe comandos de shell por um campo que o serviço não verifica. Como opmlogdcorre como root, o comando injetado também corre como root.
Na prática, quem consiga ligar-se à mesma rede (por exemplo, pela rede Wi-Fi de casa, de um escritório ou de um hotel) pode atacar uma TV vulnerável sem PIN, sem pedido de emparelhamento e sem qualquer outra interação do utilizador.
Ficha técnica
| Produto | LG webOS (smart TV) |
| Modelos testados | 32LQ636BPSA, 27TQ600SW |
| Firmware testado | 04.54.40 (webOS 7.5.7) |
| Vetor | Rede local, sem autenticação nem interação |
| Componentes envolvidos | Serviço de emparelhamento (porta 3001), sync-demo, cmp-client, PalmServiceBridge, pmlogd |
| CVE / CVSS | Não atribuídos à data de publicação |
| Exploração ativa | Não reportada |
| Correção | Disponível, segundo o aviso da SSD Secure Disclosure |
Há uma divergência que importa assinalar. O aviso descreve uma cadeia de três falhas, mas a Cybernews escreve que a LG lançou em setembro uma correção para um total de cinco vulnerabilidades de gravidade elevada. Até à data não foram publicados indicadores de comprometimento (IOCs) específicos. Uma TV comprometida pode não dar sinais visíveis ao utilizador.
Não é a primeira vez
Já houve outros caminhos para root no webOS a partir da rede. Em 2024, a Bitdefender revelou quatro falhas (CVE-2023-6317 a CVE-2023-6320) nas versões 4 a 7 do sistema, que lhe permitiram obter acesso root à TV depois de contornar o mecanismo de autorização. A mais grave era parecida com a atual: um erro no gestor de contas deixava o atacante saltar por completo a verificação do PIN e criar um perfil de utilizador com privilégios. Na altura, o Centro de Cibersegurança da Bélgica (CCB) atribuiu à CVE-2023-6317 uma pontuação CVSS de 7.2. A Bitdefender avisou ainda que, embora o serviço vulnerável se destinasse apenas à rede local, o Shodan encontrou mais de 91 000 aparelhos que o expunham à Internet.
No TyphoonPWN 2025, outra cadeia ganhou o primeiro lugar. Explorava um serviço que abre a porta 18888 quando se liga uma pen ou disco USB à TV, com uma falha de path traversal que permitia aceder à base de dados com as chaves de autenticação dos clientes já emparelhados e, com elas, contornar a autenticação do serviço secondscreen.gateway. Nesse caso, a LG publicou o boletim SMR-SEP-2025.
| Data | Acontecimento |
|---|---|
| Abril de 2024 | A Bitdefender divulga as CVE-2023-6317 a 6320, já corrigidas pela LG |
| Setembro de 2025 | Cadeia do TyphoonPWN 2025 (porta 18888); boletim LG SMR-SEP-2025 |
| Maio de 2026 | Nova cadeia demonstrada no TyphoonPWN 2026, em Seul (3.º lugar) |
| Setembro de 2026 | A LG terá lançado correções, segundo a Cybernews |
| 12 de outubro de 2026 | A SSD Secure Disclosure publica o aviso técnico |
O que fazer agora
Segundo o aviso, não existe solução alternativa para quem ainda não pode atualizar. Além disso, a Cybernews indica que a prova de conceito já é pública e que as únicas formas de mitigação são atualizar o firmware ou desligar a TV da rede. Recomenda-se:
- Abrir o menu de suporte ou de atualização de software da TV, instalar a versão de firmware mais recente e ativar as atualizações automáticas.
- Consultar os boletins de segurança da LG em
lgsecurity.lge.com/bulletins/tv. - Ligar televisores e outros aparelhos IoT a uma rede separada (rede de convidados ou VLAN própria), longe dos computadores e servidores.
- Garantir que o router não expõe serviços da TV à Internet: desativar o UPnP se não for necessário e rever o reencaminhamento de portas.
- Nas empresas, fazer o inventário dos ecrãs ligados à rede (salas de reunião, receções, quartos de hotel) e bloquear o tráfego de entrada para a porta
3001a partir de segmentos não confiáveis.
Convém também saber até quando o seu modelo recebe correções. A LG afirma que disponibiliza atualizações de software e de segurança pelo menos uma vez por ano, durante um mínimo de dois anos após o lançamento do produto, e que o período de atualizações de segurança é de cinco anos a contar do lançamento da plataforma webOS. Quando esse prazo acaba, as TVs mais antigas deixam de receber correções.
Porque é que isto importa em Portugal
Uma smart TV com acesso root é um computador Linux, ligado em permanência, dentro da rede. Pode servir de ponto de partida para atacar outros equipamentos, intercetar tráfego ou espiar quem está por perto. Em casa, o risco aumenta em redes Wi-Fi partilhadas ou com palavras-passe fracas. Nas PME, sobretudo em hotelaria, alojamento local, clínicas e escritórios, os ecrãs ficam muitas vezes na mesma rede dos postos de trabalho. A LG tem até uma linha própria de televisores para hotelaria com webOS, mas não há confirmação de que esses modelos sejam afetados por esta cadeia.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de ativos e de vulnerabilidades inclui os dispositivos IoT, não apenas servidores e portáteis. Um ecrã por atualizar é uma lacuna na segmentação de rede e na gestão de correções. Se um aparelho comprometido levar ao acesso a dados pessoais, como os de hóspedes ou de pacientes, podem aplicar-se as obrigações do RGPD, incluindo a eventual notificação à CNPD. Os incidentes podem ser comunicados ao CNCS através do CERT.PT.
Perguntas frequentes
A minha TV LG está vulnerável?
Só foram confirmados dois modelos (32LQ636BPSA e 27TQ600SW) com firmware 04.54.40. Não se sabe se há outros modelos afetados, por isso o mais prudente é atualizar o firmware de qualquer TV LG com webOS.
Um atacante pode atacar a minha TV pela Internet?
A cadeia descrita exige acesso à mesma rede local. No passado, porém, houve milhares de TVs LG com serviços locais expostos à Internet por má configuração do router, por isso convém confirmar que não há portas abertas.
Existe identificador CVE para estas falhas?
Não. À data de publicação não foram atribuídos CVE nem pontuações CVSS, e não há relatos de exploração ativa.
O que faço se não houver atualização para o meu modelo?
Não há solução alternativa oficial. Desligue a TV da rede ou ligue-a a uma rede separada, sem acesso aos restantes equipamentos, e consulte os boletins de segurança da LG.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela SSD Secure Disclosure, LG Electronics (PSRC), Bitdefender e Centro de Cibersegurança da Bélgica (CCB).